NPO waarschuwt voor nepmail die kinderen seksuele 'auditievideo' laat insturen

De Nederlandse Publieke Omroep waarschuwt op de eigen sites voor een nepmail die de ronde doet. Daarin lijkt NPO Zapp kinderen op te roepen om voor een jeugdserie een video in te sturen waarin ze praten over seksuele handelingen. Daarmee zouden ze auditie doen voor de serie.

De niet-bestaande jeugdserie heet Nina's Zomer en de nepmail bevat een scriptfragment voor de auditie, meldt de NPO. De waarschuwing staat ook op de site van Zapp, de jongerentak van de NPO.

Het domein waarvan de mail afkomstig was, zappnpo.nl, is niet van de NPO. De mail is vermoedelijk nog niet lang in omloop. Uit informatie van Stichting Internet Domeinregistratie Nederland blijkt dat het domein afgelopen vrijdag geregistreerd werd. Het juiste domein van Zapp is npozapp.nl. Het domein zappnpo.nl is inmiddels in quarantaine geplaatst.

De NPO kwam erachter doordat ouders contact opnamen om te checken of de mail echt was. Daarop besloot de NPO de waarschuwing te plaatsen. Het is onbekend of en hoeveel kinderen en jongvolwassenen een auditievideo hebben ingestuurd.

Bron: Getty Images (1585385203)

Reacties (76)

[Raymond Deen]

Je moet toch te achterhalen zijn wie degenen achter dit domein zijn. Registrars bieden dan wel anonimiseren van hun klanten aan, maar ze mogen geen strafbare acties faciliteren. Team blue is de betreffende registrar en die zal echt niet riskeren dat er strafrechtelijk tegen ze wordt opgetreden in zulke gevallen. Waarschijnlijk zijn de boefjes hun gegevens allang doorgegeven aan de autoriteiten.

[The Zep Man]

Je moet toch te achterhalen zijn wie degenen achter dit domein zijn.

Het moet niet. Vaak kan het. Een (nep)identiteit uit een land dat niet uitlevert of diens katvanger heb je niets aan.

[Raymond Deen]

Er is van alles mogelijk. Wie heeft betaald voor het domein (bankrekening)? Wie heeft aan een eventuele katvanger betaald en hoe? Geldstromen volgen. Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. Al dat soort informatie kan nagegaan worden en eigenaren van mailservers die als relay hebben gediend, kan ook weer druk op worden uitgeoefend. Er zijn een heleboel mogelijkheden meer nog dus op veel verschillende manieren kunnen ze de fout in gegaan zijn waardoor ze toch te achterhalen zijn.

[The Zep Man]

Er is van alles mogelijk. Wie heeft betaald voor het domein (bankrekening)? Wie heeft aan een eventuele katvanger betaald en hoe? Geldstromen volgen.

Gewassen crytocurrency. Desnoods via een tweede katvanger die wel van cryptocurrency afweet ("dit deel hou je lekker zelf, dit deel maak je via je bankrekening over naar (...)").

Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. de mailtjes zijn verstuurd van een ip adres.

Tor node. Gratis maildienst.

Al dat soort informatie kan nagegaan worden en eigenaren van mailservers die als relay hebben gediend, kan ook weer druk op worden uitgeoefend.

Bulletproof hosting in een land dat geen informatie afstaat.

Er zijn een heleboel mogelijkheden meer nog dus op veel verschillende manieren kunnen ze de fout in gegaan zijn waardoor ze toch te achterhalen zijn.

En er zijn een heleboel mogelijkheden om opsporen te duur/lastig te maken.

Ik hoop dat degenen die hierachter zitten gepakt worden, maar heb geen verwachtingen hierover (goed of slecht). Daarover weet ik te weinig van deze casus. Van wat we wel weten kan het alle kanten op gaan.

[Reactie gewijzigd door The Zep Man op 22 september 2026 18:29]

[i-chat]

als jij als bedrijf crypto ondersteunt ben je wat mij betreft behulpzaam bij het plegen van een misdrijf.

het willens en wetens faciliteren van diensten in de wetenschap dat deze primair gebruikt worden voor misdrijven is gewoon strafbaar.

[stimpyMGS]

Dus in alle gevallen waarbij een bedrijf crypto gebruikt, is er "wat jou betreft" sprake van schimmige activiteiten? Ben ik ff blij dat hij het niet voor het zeggen hebt Dat zou zaken zoals activisme onmogelijk maken, iets wat in een gezonde democratie noodzakelijk is.

[The Zep Man]

als jij als bedrijf crypto ondersteunt ben je wat mij betreft behulpzaam bij het plegen van een misdrijf.

Twee personen kunnen onderling cryptocurrency uitwisselen met elkaar zonder een externe partij ertussen. Zijn banken verantwoordelijk als criminelen elkaar contant betalen?

het willens en wetens faciliteren van diensten in de wetenschap dat deze primair gebruikt worden voor misdrijven is gewoon strafbaar.

Doe zeker aangifte, als je dit denkt.

[Reactie gewijzigd door The Zep Man op 22 september 2026 18:37]

[i-chat]

@The Zep Man en alle anderen

waarom is het verkopen van auto’s in Nederland niet verboden en het verkopen van pistolen wel hoewel er ondertussen meer mensen sterven in het verkeer dan in vuurwapengeweld

Omdat een auto niet primair bedoeld is om er iemand mee te doden of verwonden

Net als een vuurwapen het doel heeft om iemand dood te schieten heeft bitcoin het doel om buiten het zicht van de maatschappij te blijven waarvoor anders dan voor clandestiene betalingen zou het dienen

[The Zep Man]

Waarom noem je mij? Ik heb nergens iets genoemd over of cryptocurrency gewenst of ongewenst is.

Verdedig je stroman ergens anders.

[Reactie gewijzigd door The Zep Man op 23 september 2026 12:36]

[datajuggler]

Een pistool heeft niet het doel iemand dood te schieten. Het is een metalen voorwerp. Het heeft het doel een ballistisch voorwerp te lanceren. Het wordt gebruikt ter zelfverdediging en bescherming, sport en recreatie, jacht, militair en ja illegaal voor doden van mens en dier.

Mensen die hun eigen overtuigingen projecteren om voorwerpen te criminaliseren, erg betreurenswaardig. Je opmerking over bitcoin en crypto hetzelfde.

[WillySis]

Crypto valuta zijn wel DE valuta van een deel van de criminele wereld, plus dat de crypto marktplaatsen niet altijd betrouwbaar zijn of juist interessant voor criminele hackers om de crypto over te nemen. Het grootste deel van de transacties is echter gewoon legitiem.

Ook voor giraal geld geldt dat er criminele handelingen mee betaald worden, maar het kost tegenwoordig aardig wat moeite om de transacties verborgen te houden en de winsten uiteindelijk wit te wassen.

Gewoon contant geld wordt misschien nog steeds het meest gebruikt. Dat is volledig anoniem en transacties zijn niet na te gaan. Ook hier is het witwassen een probleem.

Welke vorm van valuta je (als bedrijf) ook accepteert, het is een vorm van betalen die ook in het criminele circuit gebruikt wordt. Het gaat dan wel ver om te zeggen dat het aannemen van enige vorm van betaling inhoudt dat je dan ook "willens en wetens" misdrijven ondersteund.

Ik ben overigens geen voorstander van crypto (deels omdat de misdaad er veel gebruik van maakt). Zowel privé als bedrijfsmatig (b2b) doe ik daarom niet aan crypto's.

[Atomsk]

Iedereen kan schermen met loze termen en magische katvangers die de gevangenis ingaan voor iemand voor 50 euro. Denk toch dat het anders loopt wanneer zo iemand de keuze krijgt tussen praten of strafvervolging. Team.blue heeft heel veel merken en voor Nederland worden hosting services gedaan via Transip. Die ondersteunen geen crypto, maar alleen ideal en automatische incasso. Vals adres opgeven kan altijd, maar financieel is anoniem blijven zo lastig.

Enfin, het kan een viezerik zijn, maar ook de Russische overheid die zo de reputatie van publieke instellingen wil ondermijnen. Je weet pas meer wanneer er onderzoek wordt gedaan.

[The Zep Man]

Iedereen kan schermen met loze termen en magische katvangers die de gevangenis ingaan voor iemand voor 50 euro. Denk toch dat het anders loopt wanneer zo iemand de keuze krijgt tussen praten of strafvervolging.

Natuurlijk praat die. Een karakteristiek van een goed gekozen en behandelde katvanger is dat die niets te zeggen heeft dat waarde toevoegt aan een onderzoek van justitie.

"Hoe werd u benaderd?"

"Zie de mail die u al heeft."

"Hoe werd u betaald?"

"Zie de BTC in de mail die u al heeft."

[Reactie gewijzigd door The Zep Man op 23 september 2026 13:57]

[smarthome1]

Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. 

Dan kom je meestal uit bij een vpn/proxydienst, of een gehackt apparaat (of router) waar de eigenaar niet van weet dat deze spam-emails verspreid.

Er zijn weinig hackers/spammers die hun eigen (thuis-)IP gebruiken.

[Kevinp]

Tijd voor mogelijkheden om registratie van bepaalde top domains te beschermen met regels.

Oftewel, je mag een .nl domein alleen maar registreren met bepaalde gegevens. En dat kan ook zijn dat je bv alleen uit bepaalde landen mag registeren.

[i-chat]

Tijd voor mogelijkheden om registratie van bepaalde top domains te beschermen met regels.

Oftewel, je mag een .nl domein alleen maar registreren met bepaalde gegevens. En dat kan ook zijn dat je bv alleen uit bepaalde landen mag registeren.

Mijn achternaam is toevallig ook een winkel laten we me voor dit voorbeeld henk van der blokker noemen

Ik wil graag [e-mail] Naar jouw suggestie mag dat straks niet meer omdat het teveel op blokker lijkt

Mijn hockey club ui almere wil graag ahc heten maar dat mag ook al niet

En voor je komt met kvk en andere papieren; we willen niet dat commerciële partijen politie-agentje gaan spelen dat gaat in het bankwezen al finaal mis

[Kevinp]

Nee dat zeg ik niet. Ik wil dat een niet commerciele partij controleert aan wie hij of zij verkoopt in sommige gevallen.

En ja dat is lastig. Maar als fraude te makkelijk is is dit gewoon een prima oplossing.

[Oon]

Je kunt bij veel internationale registrars gewoon óók een .nl-domeinnaam bestellen, met Bitcoin betalen en via een VPN afrekenen, en dan niet-bestaande gegevens invullen. Geen verdere KYC, en als je op diezelfde manier meteen hosting meebestelt of je mail via Proton laat lopen komt niemand er zomaar achter wie je bent.

[Noresponse]

Ik hoop dat ze deze mensen die tot deze zieke daad kinderslachtoffers proberen te zoeken snel te pakken krijgen. Ik weet niet wat in die mail precies staat, maar las wel dat je een video moest opsturen van je zelf en ben ook bang dat kinderen dan ook nog eens adres en andere dingen invullen.

Dit is te erg voor woorden en hoop dat zo veel mogelijk mensen een aangifte doen online, want dit soort dingen kunnen enorm veel ellende veroorzaken en dat mag wel eens hard aangepakt worden met langere gevangenis straffen.

[Raymond Deen]

Dat hoop ik ook! Laat er maar een zo hoog mogelijke celstraf en boete voor opgelegd worden zodat er een flink ontmoedigend effect ontstaat op het doen van dit soort goorlapperij.

[Ascathon]

Waar is deze email dan heen gegaan? Gewoon naar iedereen in de spam-lijst en dan maar hopen dat de juiste "doelgroep" toehapt? En de rest is gewoon bijkomende schade?

Maw: Er is geen NPO lijst van een server vandaan getrokken?

[The Zep Man]

Waar is deze email dan heen gegaan? Gewoon naar iedereen in de spam-lijst en dan maar hopen dat de juiste "doelgroep" toehapt?

Er lekken vaak genoeg gegevens. Als gegevens lekken van een dienst die zich richt op kinderen (Roblox, etc.) met daarin geboortedatums/vinkjes die minderjarigen oormerken, dan heeft men "goud".

[Ascathon]

Ah ja, das waar. Op die manier kun je targetten.

[afnay]

Als de NPO als organisatie nu eens gewoon zou werken met subdomeinen ?

Hoe moet iemand anders weten of npozapp.nl of zappnpo.nl het echte domein is zonder eerst naar een of andere domain whois te moeten kijken ?

Als je iemand leert hoe domainnamen werken, kan die persoon zelfstandig een goede afweging maken of zapp.npo.nl bij de npo kan horen of niet.

Dan moet je ook niet jaren lang ongebruikte domeinnamen blijven onderhouden uit vrees voor phishing.

Trouwens het domein npozap.nl kan iemand nog registeren zonder problemen... Lijkt me evident als je naast zapp wellicht ook zap nodig hebt. Jaren geleden was het ook al digg of diggg zeker als je s'namiddag als aan het dig-en bent geweest met DNS op het werk ?

[Keypunchie]

Lost het probleem niet op. Kwaadwillenden hoeven alleen maar iets te registreren dat er op lijkt en vervolgens zullen de meeste aannemen dat het legitiem is (want weten wij veel dat npo altijd netjes subdomeinen gebruikt)

[cruysen]

Juist, je kunt er veel opvangen. Maar b.v. NPQ.nl of NP0.nl zijn ook voorbeelden die gebruikt kunnen worden. Dus met het subdomein ZAPP.NP0.nl zal bij veel niet opvallen.

Het is goed dat ouders dit bij de NPO hebben nagevraagd of dit van hen kwam.
Ik neem aan dat de NPO en de ouders ergens online aangifte kunnen doen bij de politie?
Al is het maar voor de statistieken zodat ze de cyberpolitie meer aandacht kunnen geven.

edit:
https://veiliginternetten.nl/check-een-url-op-scamcheck/
Hier zou je die kunnen checken en er is een link om aangifte te doen. (zappnpo.nl staat er 'nog' niet in als scam site helaas.)

[Reactie gewijzigd door cruysen op 22 september 2026 20:52]

[HollowGamer]

Subdomeinen wordt niet gesnapt door mensen. Die vullen dan in zapp.npo in i.p.v. zapp.npo.nl in.

NPO laat daarom best veel subdomeinen vallen voor echte 'paden'. Dat is met navigeren ook eenvoudiger, en tegenwoordig kan je ook prima daarop een proxie zetten.

Domeinnamen zijn ook erg duur. Ik ben juist blij dat ze afstappen van al die 10.000 domeinnamen: YouTube: Waarom heeft de overheid zoveel websites | De avondshow met Arjen Lu...

[aikebah]

Vind je €4,38 ex BTW per jaar werkelijk erg duur?

Ja, er zijn tussenhandelaren die daar een schandalige marge bovenop gooien (verleng-tarief van €25,99 op jaarbasis)... maar de domeinnaam als zodanig stelt kostentechnisch weinig voor (al mag de overheid er alsnog wel wat minder verkwistend mee omgaan dan voor iedere campagne weer één of meer nieuwe domeinen in te richten). Onder een tientje op jaarbasis is prima te vinden en bij grootafname kun je nog dichter bij het SIDN tarief kunnen komen.

https://www.sidn.nl/onze-prijzen

[HollowGamer]

Het gaat niet zozeer om alle domeinen. Ik denk hosting, development, en domeinen.

[aikebah]

Maar in al het andere maakt de keuze tussen domeinen, subdomeinen of context roots geen verschil.. ook die context roots en subdomeinen worden gewoon langs een reverse-proxy naar een eigen applicatie geleidt

[rcdbee89]

Gelijk de mensen met het busje ophalen die het domein hebben geregistreerd.

Dit soort dingen kan ik boos van worden

[HollowGamer]

Wordt je ook boos om het feit dat iemand wordt opgepakt met CP, en dan maar even de cel in hoeft: https://nos.nl/artikel/26...eld-voor-kinderpornobezit

Je kunt deze mensen wel ophalen, maar echt vastzitten hoeven ze nooit. Dus iemand kan dit doen, en dan naar een halfjaar weer buitenstaan. Persoonlijk kan ik daar het meest boos om worden (te lage straffen hier in NL).

[oltk]

Oh? Ik lees maximaal 8 jaar.
https://www.rijksoverheid.nl/themas/recht-veiligheid-en-defensie/seksuele-misdrijven/kinderporno/kinderporno-is-strafbaar

[HollowGamer]

De maximale straf wordt vrijwel nooit opgelegd.

[oltk]

Nee, maar wel wezenlijk hoor. 12 maanden, 16 maanden, 24 maanden. En zelfs 6 jaar. Na 20 sec googlen. En overigens, ik las ook dat de maximale straf naar 9 jaar is gegaan.

[R_Zwart]

Ah mooi, jij weet wie het zijn en waar ze zijn. Heb je de autoriteiten dat al verteld?

[virtualpimp]

Domein is al snel in quarantine, goede actie. Zo zal het lastiger door de spamfilters komen.

[HenkEisDS]

Slechte nick (voor dit onderwerp).

[virtualpimp]

PIMP staat voor Professional In Management Position. Gewoon management dus 😎

[lasermen]

Dat zegt nog niet wat je dan manage
Je kan dan prima de rol van waar het woord meest om bekend staat uitvoeren

[bazs2000]

Slogan is ook zo bedacht.

For the money you spend we give you a fairytale with a happy end.

[R_Zwart]

Een pooier is toch ook een manager? :-)

[Justevo]

In de categorie "dingen die je bloed laten koken" komt zoiets wel met stip op 1 binnen.

[kodak]

In principe is dit strafbaar en dus genoeg reden om aangifte bij de politie te doen als je kind zo'n mail ontvangen heeft. Alleen contact op (laten) nemen met npo lijkt me dus niet de bedoeling. Natuurlijk zal npo waarschijnlijk willen helpen (en die hebben eigen belang om de omvang van het probleem te weten), maar je bent als ouders ook zelf verantwoordelijk om de keuze te maken om naar de politie te gaan.

[Reactie gewijzigd door kodak op 22 september 2026 18:04]

[Tweakriez]

Gatverdamme wat een smeerpijpen Ik vind het al erg dat mijn dochter aan mijn hoofd blijft zeuren om Roblox "want iedereen" speelt het.

[Davey400]

Uit dit artikel:

Daarin lijkt NPO Zapp kinderen op te roepen om voor een jeugdserie een video in te sturen waarin ze praten over seksuele handelingen.

En toen dacht ik: verwerpelijk, maar sommigen overdrijven in de reacties. Oproepen tot praten over seksuele handelingen vind ik niet in verhouding staan tot het oproepen tot lijfstraffen.

De daadwerkelijke oproep blijkt volgens de gelinkte websit van de NPO echter wat verder te gaan:

Bij reactie op de eerste e-mail wordt gevraagd om een auditietape in te sturen op basis van een aangeleverd script. In dit script worden seksuele handelingen besproken.

M.a.w.: er wordt in direct contact gevraagd om beelden van de handelingen op te sturen, en dat gaat dus wel een tikkie verder dan wat in het Tweakers artikel staat.

(Nog steeds zijn lijfstraffen dan barbaars, maar dan snap ik de emotie iets meer...)

[stftweaker]

Waar is de aivd? Waar is de politie? Er zijn meer bevoegdheden dus dit moet een eitje zijn. Natuurlijk is er een "mule" gebruikt maar als je die kan squeezen. Die gaat niet zitten voor dit.

[Bergen]

Er hoeft geen mule te worden gebruikt. Iedereen ter wereld kan een .nl-domein op zijn naam zetten. Dus kies een willekeurige (niet bestaande) persoon in een vreemd land, zoek een hoster waar je kunt betalen via bitcoin, en je hebt een anoniem domein.

[i-chat]

aivd inzetten voor een scam mail is, hoe ziekelijk het onderwerp ook wel een beetje alsof je een atoombom gooit op het huis van een dronken bestuurder.

dat lijkt me niet alleen onwenselijk maar ook nog eens ongelofelijke verspilling van mankracht die bedoeld is voor heel andere dreigingen. laat hier gewoon een team digi-recherge naar kijken en laten we als dat nodig is ook kijken naar anti bitcoin wetgeving als blijkt dat er daarmee betaald is.

[stftweaker]

ik denk dat je met dit soort dingen wel een atoombom nodig heb. Er wordt hier op een hele geniepige manier contact gezocht met minderjarige. Niet van ik heb hier een zak geld zoals we die gewend zijn, of de anwm, intrum jusititia(wie heeft ze niet gehad). Maar dit is een campagne waar tijd en aandacht aan is besteed. Auditie, snel handelingen, laagdrempelig contact zoeken.

Zulke dingen moet je serieus nemen en niet zomaar afpoeieren, want als dit aanslaat wordt het sneller en beter, ook op kanalen waar wij niet zo 123 kunnen ingrijpen.

[RoamingZombie]

Nog steeds is de AIVD daar niet de aangewezen instantie voor. Die atoombom is dus niet efficient en kost meer dan dat het oplevert. We schieten daar letterlijk geen drol mee op.

[HollowGamer]

We weten allemaal dat CP gebruikt wordt als argument om meer te mogen hacken en verzamelen. Uiteindelijk is het allemaal een excuus, en doet de AIVD/Politie vrij weinig, want er zijn te weinig middelen, daarnaast is het echt geen leuk werk (veel ontwikkelen serieuze klachten). Dan gaat het al snel internationaal, maar ook daar is het vaak lastig en tijdrovend.

Ga maar eens achter de wraakacties van iemand aan, wat geen CP is (pesten hoort daar ook bij). Zelfs daar doen ze vrij weinig tegen, tenzij je een BN'er bent, dan kan het opeens wel (helaas waar).